中国語のスマホ標準キーボードアプリでキー入力が盗まれる脆弱性 攻撃対象は“10億人規模”と試算
このコーナーでは、2014年から先端テクノロジーの研究を論文単位で記事にしているWebメディア「Seamless」（シームレス）を主宰する山下裕毅氏が執筆。新規性の高い科学論文を山下氏がピックアップし、解説する。 X： ＠shiropen2 カナダのトロント大学にある研究機関「Citizen Lab」は、中国で広く利用されているキーボードアプリに関する最新の調査報告を公開した。報告書によると、中国の主要なクラウドベースのスマホキーボードアプリに脆弱性が認められたという。この脆弱性が悪用されると、ユーザーが入力した内容（キーストローク）が盗まれる可能性があるとしている。 今回問題になったのは、中国語の入力方式として主流のピンイン（ローマ字入力）に対応したキーボードアプリだ。これらのアプリの多くは、入力した文字列をクラウドサーバに送信し、変換候補を取得する「クラウドベースの予測変換機能」を備え
他人のキーボードに“1分で2万回の誤入力”をする攻撃 DoS攻撃やDeleteキー連打で妨害
このコーナーでは、2014年から先端テクノロジーの研究を論文単位で記事にしているWebメディア「Seamless」（シームレス）を主宰する山下裕毅氏が執筆。新規性の高い科学論文を山下氏がピックアップし、解説する。 Twitter: ＠shiropen2 中国の浙江大学や米ミシガン大学、米ノースイースタン大学に所属する研究者らが発表した論文「GhostType: The Limits of Using Contactless Electromagnetic Interference to Inject Phantom Keys into Analog Circuits of Keyboards」は、電磁干渉（EMI）を利用して、他人のキーボードに物理的に触れることなく偽のキーストロークを注入できる攻撃を提案した研究報告である。 具体的には、キーボードの電気回路に誤った電圧を誘導し、キーボード
Cloudflare、CAPTCHAに代わる認証「Turnstile」発表 「ゆがんだ文字で人類が浪費している時間を節約」
CDNプロバイダーの米Cloudflareは9月29日、CAPTCHAに代わる新たな認証API「Turnstile」を発表した。人間が操作していることを示すシグナルを確認・認証する手法で、ユーザーからは見えず、特別な操作も不要。約1秒で認証完了できるとしている。 同社は「ゆがんだ文字や画像の組み合わせを解く認証テストに人類が毎日浪費している500年分の時間を節約する」と述べている Turnstileの認証テストはその時々で入れ替わり、難易度も細かく調整できるという。人間らしくない行動をする訪問者には、より難しい認証テストを課すことも可能。認証精度はCAPTCHAと同程度を実現したとしている。 macOS／iOS最新版を利用しているユーザーのプライベートアクセストークンを認識し、デバイス認証もできる。その際、ユーザーのデバイスデータが収集・操作・保存されることはないという。 CAPTCHAは
入力中の個人情報が“送信ボタンを押す前に”収集されている問題 約10万のWebサイトを調査
Innovative Tech： このコーナーでは、テクノロジーの最新研究を紹介するWebメディア「Seamless」を主宰する山下裕毅氏が執筆。新規性の高い科学論文を山下氏がピックアップし、解説する。 ベルギーのKU Leuven、オランダのRadboud University、スイスのUniversity of Lausanneによる研究チームが発表した「Leaky Forms: A Study of Email and Password Exfiltration Before Form Submission」は、まだ送信していないのにもかかわらず、オンラインフォームで入力した個人情報（今回は電子メールアドレスとパスワード）が打ち込んだだけで収集されている問題を調査した論文だ。 サインインやサービスへの登録、ニュースレターの購読など、さまざまな理由でオンラインフォームに個人情報を入力す
“Log4j用ワクチン”登場 脆弱性を利用して修正プログラムを実行
簡単な方法で任意のプログラムを実行できてしまうとして12月10日ごろからIT系企業で騒動になっている、Apacheソフトウェア財団のJava向けログ出力ライブラリ「Apache Log4j」（Log4j）の脆弱性。そんな中、“ワクチン”のようにこの脆弱性を修正するプログラムを、米情報セキュリティ企業Cybereasonが12月11日（日本時間）にGitHubで公開した。 Log4jには「JNDI Lookup」という機能があり、これを悪用すると外部のサーバに置いた任意のプログラムを標的に読み込ませ、実行させられる。対策としては、JNDI Lookup機能を停止する必要がある。Cybereasonが公開した修正プログラム「Logout4Shell」は、この脆弱性を使って「JNDI Lookup機能を停止させた状態でLog4jを再構築するプログラム」を実行させることで問題を修正するというもの。
頭を狙えないスマートピストルが開発される
若い頃は｢銃なんて何で必要やねん｣と思ってたんですけどね。 ベルギーの銃器メーカーFN Herstal（ハースタル）社が発表した新たなピストル｢FN SMART PROTECTOR｣は、銃口の下にあるカメラで狙っている対象を検出、人間の頭部を狙うと｢撃つのに適切ではない｣と認識され、銃を持つ人に警告、発砲をブロックする機能がついています。 戦場で利用するというよりは、治安保持のために警察官等が使うことを想定している武器ですね。弾丸に関しては、これまた非致死性のゴム樹脂の弾を発射します。死なないとはいえ、当たったらめっちゃ痛そうですけど。 サバゲーやゲームくらいしか嗜みがないので銃に関して理解が追いつかないんですが、テクノロジーによって、警官たちが容疑者を死なせてしまわないよう、配慮した銃が出てくるのは世の流れといえるんでしょうね。 そのうちスカイネットみたいな世界になりませんように。 So
Engadget | Technology News & Reviews
Rivian offers (up to) $5,000 discount if you trade in your gas-powered truck
Mastercard、磁気ストライプを段階的に廃止へ
Mastercardは米国時間8月12日、デビットカードとクレジットカードの磁気ストライプの段階的廃止を2024年に開始し、2033年までに完了する見込みだとプレスリリースで明らかにした。チップを搭載するカードに移行するという。 米国の銀行では2027年から、磁気ストライプ付きのカードを発行する義務がなくなる。Mastercardは2029年までに、磁気ストライプ付きカードの新規発行を終了する見込みだ。ただし、米国とカナダで発行するプリペイドカードは例外となる。 磁気ストライプは1960年代に導入され、カードの裏側にラミネート加工された磁気テープに、利用者の銀行口座情報を暗号化して記録することが可能になった。Mastercardによると、生体認証カードを採用することで、セキュリティがさらに強化されるという。
“10の36乗”個のアドレス空間をどう可視化？ 世界初、IPv6に対応したNICTのトラフィック可視化ツール「NIRVANA改」
“10の36乗”個のアドレス空間をどう可視化？ 世界初、IPv6に対応したNICTのトラフィック可視化ツール「NIRVANA改」 インターネット上の通信の可視化は、攻撃元や攻撃先を視覚的に理解できるためセキュリティ対策の上で重要だ。しかし、通信機器の増加に応じて用意されたインターネットプロトコル「IPv6」は2の128乗（約3.4×10の38乗）個という膨大なアドレス数を持つため、その全貌を見渡すのは簡単ではない。 情報通信研究機構（NICT）は今回そんな課題をクリアした。同機構のトラフィック可視化ツール「NIRVANA改」で、IPv6を流れるパケットのリアルタイム可視化に世界で初めて成功したという。 NIRVANA改のUIは、蛍光系の色を基調に六角形のパネルやアイコンなどで各機能を表示。六角形はIPv6に合わせたもので、IPv4対応時には各パネルを四角形で表していた。UIの見た目は、アニ
悪意を持ったHDMI機器の存在をHDMI規格は想定していない | スラド セキュリティ
3月20日に開催されたKernel/VM探検隊online part2で、HDMI探検隊と題するセッションがあったようだ。発表者は元セキュリティ系エンジニアで現在は映像系に関わっているというみっきー（mzyy94）さん。テーマはHDMIに関するもの、Raspberry Piを使用してHDMIの信号などを調査した内容となっている。同氏はHDMIのテレビやレコーダーなどの機器コントロールを行うCEC（Consumer Electronics Control）[PDF]などのセキュリティ上の問題点を指摘している（発表の動画[01:55:07あたりから]、発表時のスライド資料）。 曰くHDMI-CECでは機器間の認証機能が無いので、CECフレームというコマンドを送り放題で、それを受理するかどうかは受け取る側の機器が判断するという。悪意を持ったフレームを送りつけることにより、別の機器の操作を妨害した
IBMが顔認識市場から撤退を表明、「テクノロジーが差別と不平等を助長することを懸念」
by Steven Lilley IBMが「テクノロジーが差別と人種的不平等を助長するために使われている」という懸念を発表し、汎用(はんよう)的な顔認識技術の市場から撤退する方針を発表しました。 IBM CEO's Letter to Congress on Racial Justice Reform - THINKPolicy Blog https://www.ibm.com/blogs/policy/facial-recognition-susset-racial-justice-reforms/ IBM to withdraw from the facial recognition market out of profiling fears - CNET https://www.cnet.com/news/ibm-to-withdraw-from-the-facial-recogni
顔認識企業Clearview AIに不正アクセス--全顧客リストが盗まれる
Clearview AIは米国時間2月26日、データへの不正アクセスがあったことを明らかにした。同社は、プライバシー上の懸念を巻き起こしている顔認識ソフトウェアの開発元だ。全顧客リスト、それらの顧客による検索件数、各顧客が設定済みのアカウント数などのデータが盗まれたという。 「セキュリティはClearviewにとって最優先事項だ」と同社の弁護士であるTor Ekeland氏は声明で述べ、「残念ながらデータ侵害は21世紀においては日常の一部だ。当社のサーバーはアクセスされていない。当社は不具合を修正済みで、セキュリティ強化に引き続き取り組んでいく」とした。 同社は、どこに不具合があったかを明らかにしていない。データ侵害については、The Daily Beastが最初に報じていた。 Clearviewの顧客は、ほとんどが法執行機関で、トロント、アトランタ、フロリダの警察がこの技術を利用している
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
100m先からQRコードに“肉眼で見えない”レーザーを当て偽物にする攻撃 読み込むと悪性サイトへ
「笑っているイヌ」の画像を選べ!? 難易度が上がるCAPTCHA認証と、「人間であること」の証明の難しさ
電話をかけさせるフィッシング「ビッシング詐欺」メールが増加中 6月だけで10万件を検知、電話では冷静な判断が難しくなると指摘
Engadget | Technology News & Reviews
「不満を持つ従業員」を実行犯に仕立てる、ランサムウエア攻撃の卑劣な新戦略とは
指紋認証は「ゼラチン指」で突破できるのか？（2020年版）【前編】 ～指紋認証システムについて知る～
TechCrunch | Startup and Technology News
「常識覆すサイバー犯罪」増加、二要素認証を突破する詐欺手口やサイト改ざんによる情報窃取など トレンドマイクロが2019年のサイバー犯罪動向を解説
